Перейти к содержанию

Проблема с вирусом "gangnamgame net"(не запускается ccleaner,regedit,autolog)


Рекомендуемые сообщения

У меня проблема с вирусом "gangnamgame net". Когда включаю компьютер, вылетает Google Chrome со страницей "gangnamgame.net"
При попытке открыть ccleaner, regedit или же autolog ничего не происходит. Вирус полностью блокирует работоспособность программ.
В чем может быть дело, помогите!

Восстановление системы тоже не помогло.

 
 
Попробовал использовать вашу специальную версию ( Тестовая PIF версия Autologger'a), запустилось. Прикрепляю лог.

CollectionLog-2015.09.15-13.41.zip

Изменено пользователем IIIakal100
Ссылка на сообщение
Поделиться на другие сайты

Выполните скрипт в AVZ

 

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
QuarantineFile('C:\Users\Валерий\AppData\Local\Microsoft\Redist\vcredist_x86.cfg','');
QuarantineFile('C:\Users\Валерий\AppData\Local\Microsoft\Redist\vcredist_x86.exe','');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','CMD');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\RunOnce','vcredist_x86_del');
DeleteFile('C:\Users\Валерий\AppData\Local\Microsoft\Redist\vcredist_x86.exe','32');
DeleteFile('C:\Users\Валерий\AppData\Local\Microsoft\Redist\vcredist_x86.cfg','32');
DeleteFile('C:\Program Files (x86)\AnyProtectEx\AnyProtect.exe','32');
DeleteFile('C:\Windows\Tasks\APSnotifierPP1.job','32');
DeleteFile('C:\Windows\Tasks\APSnotifierPP2.job','32');
DeleteFile('C:\Windows\Tasks\APSnotifierPP3.job','32');
DeleteFile('C:\Windows\system32\Tasks\APSnotifierPP1','64');
DeleteFile('C:\Windows\system32\Tasks\APSnotifierPP2','64');
DeleteFile('C:\Windows\system32\Tasks\APSnotifierPP3','64');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteREpair(9);
RebootWindows(false);
end.
Будет выполнена перезагрузка компьютера.

 

Выполните скрипт в AVZ

 

begin
CreateQurantineArchive('c:\quarantine.zip');
end.
c:\quarantine.zip отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

Выполните ЕЩЕ РАЗ правила обычной версией Autologger и предоставьте НОВЫЕ логи

Ссылка на сообщение
Поделиться на другие сайты

[KLAN-3139371035]

Здравствуйте,

Это сообщение сформировано автоматической системой приёма писем. Сообщение содержит информацию о том, какие вердикты на файлы (если таковые есть в письме) выносит Антивирус с последними обновлениями.

quarantine.zip

Этот файл повреждён.

С уважением, Лаборатория Касперского

"125212, Россия, Москва, Ленинградское шоссе, д.39А, стр.3 Тел./факс: + 7 (495) 797 8700  http://www.kaspersky.ru http://www.viruslist.ru"


Hello,

This message has been generated by an automatic message response system. The message contains details about verdicts that have been returned by Anti-Virus in response to the files (if any are included in the message) with the latest updates installed.

quarantine.zip

This file is corrupted.

Best Regards, Kaspersky Lab

"39A/3 Leningradskoe Shosse, Moscow, 125212, Russia Tel./Fax: + 7 (495) 797 8700  http://www.kaspersky.com http://www.viruslist.com"

 Это ответ от newvirus@kaspersky.com

Ссылка на сообщение
Поделиться на другие сайты
Скачайте Farbar Recovery Scan Tool  NAAC5Ba.png и сохраните на Рабочем столе.

 

  • Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.


1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

2. Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".

B92LqRQ.png

3. Нажмите кнопку Scan.

4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите этот отчет в следующем сообщении.

5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt). Пожалуйста, и его тоже прикрепите в следующем сообщении.
Ссылка на сообщение
Поделиться на другие сайты

Сделал сканирование с помощью данной программы.

Прикрепляю отчеты.

 


Забыл сразу написать, что проблема с запуском ccleaner'a, regedit'a и autolog'a исчезла, после первого использования специальной версии autolog'a. Иными словами все работает нормально. 

Addition.txt

FRST.txt

Ссылка на сообщение
Поделиться на другие сайты

1. Откройте Блокнот и скопируйте в него приведенный ниже текст

 

CreateRestorePoint:
HKU\S-1-5-21-3796997492-1350102989-3933921529-1001\...\Run: [AdobeBridge] => [X]
HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://www.oursurfing.com/web/?type=ds&ts=1439930666&z=154944023f0ba38fa1ece1agfz4c9t0t4c4ecqdqce&from=amt&uid=ST1000DM003-1ER162_Z4Y32C4FXXXXZ4Y32C4F&q={searchTerms}
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Search Page = hxxp://www.oursurfing.com/web/?type=ds&ts=1439930666&z=154944023f0ba38fa1ece1agfz4c9t0t4c4ecqdqce&from=amt&uid=ST1000DM003-1ER162_Z4Y32C4FXXXXZ4Y32C4F&q={searchTerms}
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://www.oursurfing.com/?type=hp&ts=1439930666&z=154944023f0ba38fa1ece1agfz4c9t0t4c4ecqdqce&from=amt&uid=ST1000DM003-1ER162_Z4Y32C4FXXXXZ4Y32C4F
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://www.oursurfing.com/?type=hp&ts=1439930666&z=154944023f0ba38fa1ece1agfz4c9t0t4c4ecqdqce&from=amt&uid=ST1000DM003-1ER162_Z4Y32C4FXXXXZ4Y32C4F
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://www.oursurfing.com/web/?type=ds&ts=1439930666&z=154944023f0ba38fa1ece1agfz4c9t0t4c4ecqdqce&from=amt&uid=ST1000DM003-1ER162_Z4Y32C4FXXXXZ4Y32C4F&q={searchTerms}
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://www.oursurfing.com/web/?type=ds&ts=1439930666&z=154944023f0ba38fa1ece1agfz4c9t0t4c4ecqdqce&from=amt&uid=ST1000DM003-1ER162_Z4Y32C4FXXXXZ4Y32C4F&q={searchTerms}
HKU\S-1-5-21-3796997492-1350102989-3933921529-1001\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://www.oursurfing.com/?type=hp&ts=1439930666&z=154944023f0ba38fa1ece1agfz4c9t0t4c4ecqdqce&from=amt&uid=ST1000DM003-1ER162_Z4Y32C4FXXXXZ4Y32C4F
BHO-x32: No Name -> {BA0C978D-D909-49B6-AFE2-8BDE245DC7E6} ->  No File
StartMenuInternet: IEXPLORE.EXE - C:\Program Files\Internet Explorer\iexplore.exe hxxp://www.oursurfing.com/?type=sc&ts=1439930666&z=154944023f0ba38fa1ece1agfz4c9t0t4c4ecqdqce&from=amt&uid=ST1000DM003-1ER162_Z4Y32C4FXXXXZ4Y32C4F
CHR Extension: (Quick Searcher) - C:\Users\Валерий\AppData\Local\Google\Chrome\User Data\Default\Extensions\hanjiajgnonaobdlklncdjdmpbomlhoa [2015-08-08]
2015-08-21 18:47 - 2015-08-21 18:47 - 0613255 _____ (CMI Limited) C:\Users\Валерий\AppData\Local\nsa3BEE.tmp
2015-08-18 23:56 - 2015-08-18 23:56 - 0613255 _____ (CMI Limited) C:\Users\Валерий\AppData\Local\nsd1EF7.tmp
C:\Users\Валерий\AppData\Local\Temp\AmigoDistrib.exe
Reboot:

2. Нажмите ФайлСохранить как

3. Выберите папку, откуда была запущена утилита Farbar Recovery Scan Tool

4. Укажите Тип файлаВсе файлы (*.*)

5. Введите имя файла fixlist.txt и нажмите кнопку Сохранить

6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!

  • Обратите внимание, что компьютер будет перезагружен.

Ссылка на сообщение
Поделиться на другие сайты

У меня все стало работать отлично еще после использования самого первого пункта.

 


Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
QuarantineFile('C:\Users\Валерий\AppData\Local\Microsoft\Redist\vcredist_x86.cfg','');
QuarantineFile('C:\Users\Валерий\AppData\Local\Microsoft\Redist\vcredist_x86.exe','');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','CMD');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\RunOnce','vcredist_x86_del');
DeleteFile('C:\Users\Валерий\AppData\Local\Microsoft\Redist\vcredist_x86.exe','32');
DeleteFile('C:\Users\Валерий\AppData\Local\Microsoft\Redist\vcredist_x86.cfg','32');
DeleteFile('C:\Program Files (x86)\AnyProtectEx\AnyProtect.exe','32');
DeleteFile('C:\Windows\Tasks\APSnotifierPP1.job','32');
DeleteFile('C:\Windows\Tasks\APSnotifierPP2.job','32');
DeleteFile('C:\Windows\Tasks\APSnotifierPP3.job','32');
DeleteFile('C:\Windows\system32\Tasks\APSnotifierPP1','64');
DeleteFile('C:\Windows\system32\Tasks\APSnotifierPP2','64');
DeleteFile('C:\Windows\system32\Tasks\APSnotifierPP3','64');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteREpair(9);
RebootWindows(false);
end.
Будет выполнена перезагрузка компьютера.

 

Выполните скрипт в AVZ

begin
CreateQurantineArchive('c:\quarantine.zip');
end.
c:\quarantine.zip отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

Выполните ЕЩЕ РАЗ правила обычной версией Autologger и предоставьте НОВЫЕ логи

Ссылка на сообщение
Поделиться на другие сайты

Присоединяйтесь к обсуждению

Вы можете написать сейчас и зарегистрироваться позже. Если у вас есть аккаунт, авторизуйтесь, чтобы опубликовать от имени своего аккаунта.

Гость
Ответить в этой теме...

×   Вставлено с форматированием.   Вставить как обычный текст

  Разрешено использовать не более 75 эмодзи.

×   Ваша ссылка была автоматически встроена.   Отображать как обычную ссылку

×   Ваш предыдущий контент был восстановлен.   Очистить редактор

×   Вы не можете вставлять изображения напрямую. Загружайте или вставляйте изображения по ссылке.

  • Похожий контент

    • От Hoarrr
      Доброго времени суток!
      Последний Kaspersky Total Security постоянно находит в памяти MEM:Trojan.Win32.SEPEH.gen. Выбор опции лечение с перезагрузкой не помогает. KTS что-то делает, потом перезагружает компьютер, рапортует о том, что все вылечено, но через какое-то время выдает сообщение об обнаружении MEM:Trojan.Win32.SEPEH.gen в системной памяти. При повторном запуске полного сканирования с максимальными настройками безопасности в системной памяти то находит MEM:Trojan.Win32.SEPEH.gen, то не находит, будто бы через раз это делает.
    • От Den1xxx
      Как в этой теме:
      Поймали такого же шифровальщика.
      Благо были бекапы, пропало немного, но хотелось бы разобраться, поддается ли расшифровке.
      Некоторые признаки позволяют на это надеяться.
      Внутри файлов есть «техническая секция», ключ открытый видимо зашит в названиях.
      Имеются дубликаты файлов нешифрованных.
      Имеются части программ жулика.
      Логи, собранные Farbar Recovery Scan Tool, собрать не получается.
      Связывался ради интереса с жуликом, выслал 2 файла.
      То, что он может расшифровать, он доказал, прислал скрины:

      То, что он получил 2 файла и расшифровал, также доказывает наличие открытого ключа в файле или скорее всего в его имени.
      Возможно, их два, каждый файл оканчивается 4F931AF4-67D384F2
       
      shifr.zip следы_взлома.zip
    • От nikvoskanyan
      здравствуйте, плохо работал и выключался компьютер, процентов на 30 больше обычного была нагружена оперативная память, антивирусные сайты не запускались. Смог скачать kvrt, но кнопка проверки не нажималась, получилось запустить cureit, выполнить проверку и удалить троян. Оперативная память больше не нагружена, сайты запускаются, но kvrt и другие продукты касперского все еще не работают. 
      CollectionLog-2020.11.25-14.36.zip
    • От Андрей1998
      Здравствуйте!
      Не так давно поймал вирус, который зашифровал мои файлы. ОС переустанавливал с сохранением данных. Откат системы и её восстановление не катит, так как нет резервных копий...
      Пробовал скачивать ваши утилиты, но они не смогли дешифровать файлы(
      В интернете ничего про этот вирус не сказано.
      Прошу Вас, если Вы сталкивались с подобным вирусом, помогите!
      В сообщении будет архив.
      Также вирус зашифровал mp3 файл. Я переименовал файл "песня.mp3.259461356@qq.com.[430....23]" в "песня.mp3" и он открылся. С другими файлами так не сработало.
      Здесь прикреплю информацию о вирусе. Также добавлю, что все зашифрованные файлы имеют расширение e-mail и Unique ID. Например: "Картинка.jpeg.259461356@qq.com.[430....23]"Архив с паролем.rar
    • От mirror1
      Доброго дня.
      Сорян , если тему скинул не в тот раздел , не шарю в этом
      В общем , есть файлы : 1.exe , 2.exe - это своего рода приватный софт  , скинутый мне на проверку, перед покупкой(он писался не лично для меня. Распространяется узкому кругу лиц по знакомству)
      закинул я их значит на VT и вижу это :
      Это 1.exe - https://prnt.sc/vnrbh7
      Это 2.exe - https://prnt.sc/vnrb4x

      Теперь сомневаюсь в покупке, может кто-то объяснить что там?
      Я в этом 0
       
      Сообщение от модератора kmscom Тема перенесена из раздела Помощь в удалении вирусов  
×
×
  • Создать...